Análise grátis
Veja o que qualquer pessoa vê da sua empresa na internet
Revisamos o seu e-mail, o seu domínio, o seu site e os seus servidores de fora, como um atacante faria. Sem cadastro e em poucos minutos.
Reconhecimento passivo do seu domínio: DNS, e-mail, certificados, site, serviços expostos e vazamentos. Só fontes públicas, sem cadastro.
- Só olhamos o que está à vista de todos. Não entramos nem testamos nada nos seus sistemas.
- O relatório completo também é grátis: chega num e-mail da sua empresa.
- Cada domínio é analisado uma vez por dia.Se alguém já analisou o seu domínio hoje, você vê esse mesmo resultado. Assim ninguém usa o analisador para revisar um domínio alheio de novo e de novo.
taruma-pagos.exampleexemplo
- MédioQualquer pessoa pode enviar e-mails se passando por taruma-pagos.example
- BaixoAs respostas do DNS do domínio não são assinadas (DNSSEC)
- BaixoO e-mail que a empresa recebe pode trafegar sem criptografia
que só alguém da empresa vê
Farejando taruma-pagos.example
O Lop está revisando 10 áreas
Revisando o e-mail
- E-mail da empresaE-mail: SPF, DMARC e MTA-STS
- Configuração do domínioDNS: DNSSEC e CAA
- Dados do domínio e vencimentoRegistro do domínio (RDAP)
- Certificados emitidosCertificate Transparency
- Subdomínios esquecidosSubdomínios órfãos (CNAME)
- SiteSite: TLS, cabeçalhos e cookies
- Servidores à vistaServiços expostos (índices públicos)
- Senhas vazadasInfostealers e vazamentos
- Domínios que imitam o seuDomínios parecidos (typosquatting)
- Listas negrasReputação (Google Web Risk)
Leva de 1 a 3 minutos. Pode deixar esta aba aberta: o resultado aparece aqui.
O que qualquer pessoa vê
taruma-pagos.example
Analisado 28 de out. de 202610 áreas revisadasAtualiza uma vez por dia
Dados de exemplo: a Tarumá Pagos é uma empresa inventada. Os achados vêm de análises reais.
- Médio
Qualquer pessoa pode enviar e-mails se passando por taruma-pagos.example
Alguém pode mandar e-mails com o nome da sua empresa e eles chegarem na caixa de entrada dos seus clientes.
- Baixo
As respostas do DNS do domínio não são assinadas (DNSSEC)
Alguém poderia desviar para outro lugar quem digita o endereço do seu site. É raro e um ajuste evita.
- Baixo
O e-mail que a empresa recebe pode trafegar sem criptografia
Os e-mails que mandam para você podem ser lidos no caminho.
- Baixo
O site entrega cookies sem as proteções básicas
Se aparecer outra falha, as sessões dos seus usuários ficam mais expostas.
- Baixo
Faltam os cabeçalhos de segurança básicos do site
O navegador não recebe as instruções que barram ataques comuns.
- Informativo
Não há restrição de quem pode emitir certificados para o domínio
Qualquer empresa de certificados pode emitir um em nome do seu domínio, não só a que você usa.
- Informativo
Ninguém recebe os relatórios de quem usa o nome do domínio
Se alguém manda e-mails se passando pela sua empresa, ninguém da empresa fica sabendo.
- Informativo
O site anuncia qual software e versão usa
Poupa trabalho de quem procura falhas conhecidas dessa versão.
- Informativo
Não há um contato publicado para avisar sobre falhas de segurança
Se alguém encontra uma falha, não sabe a quem avisar.
- +5
que só alguém da empresa vê.
Relatório completo, grátis
Você trabalha na taruma-pagos.example?
Enviamos o relatório completo só para alguém da empresa. Assim as suas falhas não chegam a um desconhecido.
Minha empresa não tem e-mail @taruma-pagos.example
Acontece se vocês usam Gmail ou outro e-mail gratuito. Aí você prova adicionando um dado na configuração do seu domínio. Só quem administra o domínio consegue, por isso serve como prova.Fica no painel da empresa onde você comprou ou renova o domínio (por exemplo Registro.br, GoDaddy, Hostinger ou Cloudflare), numa seção chamada DNS ou Zona DNS. Se não sabe quem cuida disso, costuma ser quem fez o seu site.
- Tipo
- TXT
- NomeAlguns painéis pedem o nome completo: _lop-verify.taruma-pagos.example. Outros completam o domínio sozinhos.
- _lop-verify
- ValorÉ um código só do seu domínio. Não dá acesso a nada para ninguém: só prova que alguém da empresa o colocou. Copie exatamente, sem espaços.
- lop-verify=7f3k-9q2m-xa41
- Entre na seção DNS do painel do seu domínio. Se não é você quem cuida, toque em "Copiar as instruções" e passe para quem fez o seu site.
- Adicione um registro novo com estes três dados. Não apague nem mude os que já existem.
- Volte aqui e toque em "Já adicionei". Costuma aparecer em minutos; às vezes leva até uma hora.
- Quando o vemos, perguntamos para qual e-mail enviar o relatório. Aí pode ser Gmail ou outro.
Quando a verificação terminar, você pode apagar o registro.
Não consegue entrar no DNS? Tem outro jeito
Suba no seu site um arquivo de texto com o mesmo código como único conteúdo, neste endereço:
taruma-pagos.example/.well-known/lop-verify.txt
Quem fez o seu site resolve em poucos minutos. Depois volte aqui e toque em "Já adicionei".
Verificado · ana@taruma-pagos.example
Tudo o que encontramos em taruma-pagos.example
14 achados5 que antes não apareciamEnviamos um link para voltar durante 30 dias
Dados de exemplo: a Tarumá Pagos é uma empresa inventada. Os achados vêm de análises reais.
Achados e como corrigir
Para quem faz as correções: cada achado com os seus passos. PDF, 20 páginas
Baixar PDF
Resumo para a diretoria
Para quem decide: quanto pode custar para a empresa e o que a lei pede. PDF, 14 páginas
Baixar PDF
- Alto
Há subdomínios que apontam para serviços que não existem mais · novo
Alguém pode ficar com esses serviços e publicar o que quiser com o nome da sua empresa.
Como corrigir: Apagar os registros que apontam para serviços desativados.
- Alto
Há 3 computadores de funcionários infectados com programas que roubam senhas · novo
As senhas de trabalho dessas pessoas já circulam entre atacantes.
Como corrigir: Limpar esses computadores e trocar as senhas hoje.
- Médio
O site carrega bibliotecas com falhas conhecidas · novo
Existem ataques publicados que funcionam contra essas versões.
Como corrigir: Atualizar as bibliotecas marcadas.
- Médio
Há domínios quase iguais ao da empresa prontos para receber e enviar e-mail · novo
Servem para enganar os seus clientes com e-mails que parecem seus.
Como corrigir: Ver de quem é cada um e avisar os seus clientes que você nunca muda dados bancários por e-mail.
- Médio
Há serviços abertos à internet além do site · novo
Cada porta aberta é mais um lugar por onde tentar entrar.
Como corrigir: Fechar o que não precisa ficar à vista da internet.
- Médio
Qualquer pessoa pode enviar e-mails se passando por taruma-pagos.example
Alguém pode mandar e-mails com o nome da sua empresa e eles chegarem na caixa de entrada dos seus clientes.
Como corrigir: Publicar uma política DMARC que rejeite os e-mails que não saem dos seus servidores.
- Baixo
As respostas do DNS do domínio não são assinadas (DNSSEC)
Alguém poderia desviar para outro lugar quem digita o endereço do seu site. É raro e um ajuste evita.
Como corrigir: Ativar o DNSSEC no painel do domínio.
- Baixo
O e-mail que a empresa recebe pode trafegar sem criptografia
Os e-mails que mandam para você podem ser lidos no caminho.
Como corrigir: Exigir criptografia ao receber e-mail (MTA-STS).
- Baixo
O site entrega cookies sem as proteções básicas
Se aparecer outra falha, as sessões dos seus usuários ficam mais expostas.
Como corrigir: Marcar os cookies como Secure, HttpOnly e SameSite.
- Baixo
Faltam os cabeçalhos de segurança básicos do site
O navegador não recebe as instruções que barram ataques comuns.
Como corrigir: Adicionar os cabeçalhos de segurança no servidor.
- Informativo
Não há restrição de quem pode emitir certificados para o domínio
Qualquer empresa de certificados pode emitir um em nome do seu domínio, não só a que você usa.
Como corrigir: Adicionar um registro CAA com o seu fornecedor de certificados.
- Informativo
Ninguém recebe os relatórios de quem usa o nome do domínio
Se alguém manda e-mails se passando pela sua empresa, ninguém da empresa fica sabendo.
Como corrigir: Definir uma caixa para receber os relatórios de DMARC.
- Informativo
O site anuncia qual software e versão usa
Poupa trabalho de quem procura falhas conhecidas dessa versão.
Como corrigir: Esconder a versão nas respostas do servidor.
- Informativo
Não há um contato publicado para avisar sobre falhas de segurança
Se alguém encontra uma falha, não sabe a quem avisar.
Como corrigir: Publicar um arquivo security.txt com um e-mail de contato.